Rootkit: nascondersi sotto l'occhio del sistema

Un rootkit non serve a entrare: serve a restare nascosto dopo l'accesso, manipolando ciò che il sistema mostra.

Due livelli

Userland: hook di API (NtQuerySystemInformation, readdir) per filtrare processi/file dell'attaccante dalle liste. Più facile, più rilevabile.

Kernel: driver che manipola le strutture del kernel — DKOM (Direct Kernel Object Manipulation) sganciando un processo dalla lista EPROCESS, o hook della SSDT. Potente e furtivo, ma su Windows moderno richiede driver firmati (da cui l'abuso di driver vulnerabili firmati, BYOVD).

Difesa

Secure Boot, Driver Signature Enforcement, HVCI/Kernel CFG. Confrontare la vista del sistema con una esterna (memory forensics, analisi da un boot pulito) rivela le incoerenze. La lista Microsoft dei driver vulnerabili bloccati contrasta il BYOVD.